Alla base della cybersecurity c'è la collaborazione. Il punto di Axis

Per migliorare la sicurezza informatica di un'azienda è prima di tutto necessario potenziare la collaborazione. Questo il concetto emerso in occasione dell'Axis Cybersecurity Summit 2023, che si è tenuto in parallelo fra gli uffici di Microsoft a Roma e Milano. Cosa vuol dire in pratica? Che la cybersecurity non è più un mero tema tecnico, che va delegato solamente agli esperti di informatica. Al contrario, è un argomento che interessa tutte le funzioni aziendali, e deve entrare (e lo sta facendo, in molti casi) fra i temi discussi dal board di amministrazione.

Le principali sfide per la sicurezza informatica

Come già suggerito da altre ricerche, l'adozione delle varie forme di smart working ha sicuramente posto un problema di sicurezza in molte aziende, dato che il perimetro da difendere si è allargato enormemente. Ma non è l'unico: durante l'evento si è sottolineato come la digitalizzazione dei macchinari e dei sistemi produttivi, così come l'interconnessione delle infrastrutture critiche, hanno aumentato il rischio di attacchi a questi sistemi, che sino a qualche anno fa erano air-gapped, cioè fisicamente sconnessi dall'infrastruttura di rete. E ulteriori pericoli arrivano dalla rapida adozione di nuove tecnologie come IA, machine learning, cloud, 5G. 

Sono state investite risorse per proteggere adeguatamente queste infrastrutture, ma i criminali negli anni si sono strutturati come una vera e propria industria, suddividendosi i ruoli: c'è chi va alla ricerca dei bersagli più appetibili, chi realizza gli strumenti per l'intrusione, chi si occupa di gestire le negoziazioni dei ransomware e via dicendo. 

Considerando che la maggior parte delle imprese non ha al suo interno le risorse per proteggersi adeguatamente, diventa fondamentale la scelta dei partner che si occuperanno della sicurezza. “Quello che appare premiante, nella scelta di un fornitore di sicurezza informatica, è la capacità da parte dello stesso di gestire in modo adeguato tutti gli aspetti di cybersecurity, grazie all’adozione di un adeguato modello organizzativo che preveda chiare responsabilità e procedure”, spiega Roberto Setola, Professore Ordinario all’Università Campus Bio-Medico di Roma.

Le norme e il ruolo delle istituzioni

Considerata l'importanza strategica di alcune infrastrutture, anche le autorità negli anni si sono mosse per realizzare una serie di norme che specificano i requisiti minimi di sicurezza da adottare nei settori più critici.

A fare il punto su queste normative è Gabriele Faggioli, Presidente di Clusit, che ha ricordato l'introduzione della NIS 2, che sarà in vigore dall'ottobre 2024, sostituendo l'attuale NIS 1 e definendo le misure minime da adottare per le infrastrutture industriali critiche.

La direttiva CER, invece, definisce un quadro a livello UE che mira a rafforzare la resilienza dei soggetti critici nel mercato interno a fronte di una serie di minacce (es. attacchi terroristici, emergenze sanitarie, rischi naturali) stabilendo le norme minime per assistere tali soggetti mediante misure di sostegno e di vigilanza.

Per quanto riguarda il settore finanziario, a gennaio 2023 è entrato in vigore il regolamento DORA, che introduce obblighi di governance e di sicurezza alle imprese operanti in questo ambito. 

Sono ancora in fase di discussione, invece, altri regolamenti proposti, come il Cyber Resilience Act, relativo ai requisiti orizzontali di cybersicurezza per i prodotti con elementi digitali, e il Cyber Solidarity Act, relativo alla creazione di misure per migliorare la preparazione, l’individuazione e la risposta alle minacce e agli incidenti di cybersicurezza in tutta l’UE.

La collaborazione è la migliore arma di difesa

Al di là delle misure tecniche e delle soluzioni tecnologiche necessarie per difendere il perimetro aziendale, secondo Axis è importante che tutti (imprese, governi, lavoratori) collaborino verso un obiettivo comune. 

"L’evento italiano ha chiuso un ciclo di incontri organizzati in tutto il Sud Europa, che ha preso il via a Parigi lo scorso giugno: l’obiettivo è ragionare tra addetti ai lavori e fare sensibilizzazione su una tematica attuale, ma complessa, quale appunto la cybersecurity nei sistemi di sicurezza fisici. Quindi, ringrazio tutti i nostri ospiti per aver condiviso i loro punti di vista e il loro know-how”, commenta Matteo Scomegna, Regional Director per il Sud Europa di Axis. “La sicurezza informatica è una responsabilità condivisa tra produttori, system integrator e utenti finali: richiede l'implementazione delle migliori pratiche e tecnologie, nonché una vigilanza e una manutenzione continua. Affidarsi a partner tecnologicamente avanzati e in grado di avere una visione a lungo termine delle nuove minacce farà la differenza in un settore in continua trasformazione come il nostro”.